Emperador Ransomware Grubu Kimdir?
Emperador, araştırmacı kayıtlarına 10 Ağustos 2026'da giren yeni bir ransomware grubu. DrDisk Lab'ın sızıntı sitesi izleme verisindeki ilk kayıt da aynı güne ait. Yani izleme, grubun kamuoyunda görünür olduğu ilk günden başlıyor ve bu yazıdaki sayılar grubun bilinen faaliyetinin tamamını kapsıyor. Verimizde bilinen bir üst grup ya da kardeş marka kayıtlı değil. 20 Ekim 2026 itibarıyla grubun kökeni, yöneticileri veya daha önceki bir oluşumla bağı hakkında yüksek güvenle doğrulanmış kamuya açık bilgi de bulunmuyor.
Grubun hangi modelle çalıştığı veriden kesin olarak çıkarılamıyor. Seçeneklerden biri RaaS (Ransomware-as-a-Service). Bu modelde fidye yazılımı altyapısı, saldırıyı fiilen yürüten iş ortaklarına (affiliate) kiralanır ve gelir paylaşılır. Diğer seçenek, saldırıların tek ve kapalı bir ekibin yürütmesidir. Bazı işaretler ilk seçeneği öne çıkarıyor. Grup on haftada 43 kurban ilan etti, kurbanlar en az on ülkeye ve ondan fazla sektöre dağılıyor ve grupla ilişkilendirilen açıklar birbirinden farklı ürün ailelerine ait. Bu genişlik, birden fazla iş ortağının ya da ilk erişim aracılarından (IAB) satın alınan erişimlerin kullanıldığı bir yapıyla daha uyumlu olarak değerlendirilmektedir. IAB, kurumlara sızıp bu erişimi başka saldırganlara satan aktörlere verilen addır. Grubun adı İspanyolca ve Portekizcede "imparator" anlamına geliyor ve kurbanların ağırlığı Latin Amerika'da. Bu iki gözlem birbiriyle örtüşse de grubun kökeni hakkında kanıt sayılmaz.
Saldırı Hacmi ve Seyri
İzleme verimize göre Emperador, 10 Ağustos ile 19 Ekim 2026 arasında sızıntı sitesinde 43 kurban ilan etti. Tüm faaliyet 2026 yılı içinde kalıyor.
| Ay | İlan edilen saldırı |
|---|---|
| Ağustos 2026 | 10 |
| Eylül 2026 | 22 |
| Ekim 2026 (19 Ekim'e kadar) | 11 |
Ağustos rakamı ayın yalnızca son üç haftasına ait. Eylül'de ilan sayısı iki katından fazla arttı ve toplamın yarısı tek başına bu aya düştü. Ekim'in ilk 19 gününde Eylül toplamının yarısına ulaşıldı. Bu da Eylül'deki zirvenin biraz gerisinde olsa da faaliyetin çökmediğini, yerleşik bir tempoya oturduğunu gösteriyor. Yeni grupların ilk haftalarında ilanlar sıklıkla toplu yayımlanır, çünkü önceden ele geçirilmiş kurbanlar bir arada sitede açıklanır. Eylül'deki sıçramanın bir bölümü bu birikimin yansıması olabilir. Ekim temposunun ise yeni operasyonları yansıttığı değerlendirilmektedir.
Araştırmacı kayıtlarında grubun son görülme tarihi 15 Ekim 2026. İzleme verimizde ise 18 ve 19 Ekim 2026 tarihli iki yeni ilan bulunuyor. Bu fark, grubun 15 Ekim'den sonra da ilan yayımlamayı sürdürdüğünü gösteriyor.
| Kurban | Ülke | Sektör | Tespit tarihi |
|---|---|---|---|
| GTL Concreto e Logística LTDA | Brezilya | Üretim | 19 Ekim 2026 |
| Luzco Ilumination | Belirtilmemiş | Enerji | 18 Ekim 2026 |
| MPI LTDA | Brezilya | Diğer | 15 Ekim 2026 |
| MyM ODONTOCLINICA S.A | Brezilya | Sağlık | 14 Ekim 2026 |
| CMC AUDITORES SRL | Arjantin | Hizmet | 13 Ekim 2026 |
| Spelman Logistics | Belirtilmemiş | Lojistik | 11 Ekim 2026 |
| Imperial Diamond Jewellery | Belirtilmemiş | Perakende | 9 Ekim 2026 |
| PANCARIBBEAN LOGISTICS GROUP | Trinidad ve Tobago | Lojistik | 5 Ekim 2026 |
Son ilanlarda sağlık ve perakende kurbanları da görülüyor. Bu iki sektör genel sektör dağılımında yer almıyor. Grubun Ekim'de hedef yelpazesini genişlettiği anlaşılıyor.
Hedef Profili: Sektörler ve Ülkeler
| Sektör | Saldırı |
|---|---|
| Üretim | 10 |
| Kamu | 6 |
| Lojistik | 6 |
| Enerji | 3 |
| Hizmet | 3 |
| Teknoloji | 3 |
| Gıda | 2 |
| Eğitim | 2 |
Toplam saldırıların yaklaşık dörtte biri üretim sektörüne düşüyor. Üretim, lojistik, enerji ve gıda birlikte ele alındığında grubun ağırlığının fiziksel tedarik zincirinde olduğu görülüyor. Bu sektörlerde kesinti doğrudan sevkiyat ve üretim kaybına dönüşür, bu da kurban üzerindeki zaman baskısını artırır. Daha dikkat çekici olan kamu kurumlarının payı. Kamu, lojistikle aynı düzeyde ikinci sırada yer alıyor; eğitimle birlikte değerlendirildiğinde kamu niteliğindeki kurbanlar üretimden sonraki en büyük blok. Yeni bir grubun ilk iki ayında bu kadar kamu kurbanı ilan etmesi, kamu kurumlarını hedef dışı tutan yazılı olmayan kurallara uymadığını gösteriyor.
| Ülke | Saldırı |
|---|---|
| Brezilya | 8 |
| ABD | 4 |
| Arjantin | 2 |
| Hindistan | 2 |
| İtalya | 2 |
| İsveç | 2 |
| Türkiye | 2 |
| Arnavutluk | 1 |
| Bosna-Hersek | 1 |
| Kolombiya | 1 |
Büyük ransomware gruplarının çoğunda ABD açık farkla ilk sıradadır. Emperador'da ise Brezilya, ABD'nin iki katı kurbanla başı çekiyor. Arjantin, Kolombiya ve son ilanlardaki Trinidad ve Tobago ile birlikte Latin Amerika, grubun en yoğun bölgesi konumunda. İkinci kayda değer küme Akdeniz ve Balkanlar. İtalya, Türkiye, Arnavutluk ve Bosna-Hersek birlikte ABD ile aynı düzeye ulaşıyor. Ülke tablosu toplam kurbanların yalnızca bir bölümünü kapsıyor; son ilanlarda da birçok kayıtta ülke bilgisi yok. Bu nedenle coğrafi dağılım kesin bir harita değil, bir yönelim göstergesi olarak okunmalı. Gelir düzeyi farklı birçok ülkeye yayılan bu dağılım, hedeflerin coğrafyaya göre değil, ele geçirilebilen erişime göre seçildiğini düşündürüyor.
Saldırı Yöntemi
Grubun profilinde taktik, araç ve IOC kaydı bulunmuyor; yayımlanmış YARA kuralı da yok. Bu durum yeni gruplarda olağandır ama savunma tarafı için önemli bir sonuç doğurur: Emperador'a karşı imza tabanlı tespite dayanmak henüz mümkün değil. Bu yüzden davranış tabanlı izleme ve saldırı yüzeyini daraltmak öne çıkıyor. Grupla ilişkilendirilen açıklar, saldırganın izlediği yolu yine de ana hatlarıyla gösteriyor.
İlk erişim. İlişkilendirilen açıkların ağırlığı internete açık sistemlerde. Bunların başında Check Point güvenlik ağ geçitlerinde IKEv1 kimlik doğrulamasını etkileyen kritik açık geliyor. Bu tür bir açık, kurumun VPN ve güvenlik duvarı katmanını, yani dış dünyaya açılan kapıyı doğrudan hedef alır. ConnectWise ScreenConnect'teki dizin geçişi üzerinden uzaktan kod çalıştırmaya imkân veren açık ise uzaktan yönetim (RMM) yazılımlarını hedef alıyor. Bu açık, 2024'teki yaygın istismar dalgasından bu yana birçok ransomware operasyonunda kullanıldı. RMM araçları çoğu zaman tüm uç noktalara yönetici yetkisiyle bağlanır. Bu nedenle bir RMM sunucusunun ele geçirilmesi, ilk erişim ile yayılmanın aynı anda gerçekleşmesi anlamına gelebilir. Microsoft Exchange'deki seri durumdan çıkarma (deserialization) açığı da e-posta sunucusunu hem giriş noktası hem de kurum içi bilgi kaynağı hâline getiriyor.
Tedarik zinciri boyutu. Profilde Nx Console geliştirici eklentisine gömülü kötü amaçlı kodla ilgili kritik bir kayıt da yer alıyor. Bu, saldırganın yalnızca kurumun dış çevresini değil, geliştiricilerin iş istasyonlarını da hedef alabileceğini gösteriyor. Geliştirici makineleri genellikle kaynak kod depolarına, bulut anahtarlarına ve dağıtım sistemlerine erişim taşır. Teknoloji sektöründeki kurbanların bir kısmının bu yolla etkilenmiş olabileceği değerlendirilmektedir.
Yetki yükseltme ve yayılma. Windows'taki bağlantı izleme (link following) açığı, yerel kullanıcı düzeyinden sistem düzeyine geçiş için kullanılan türden bir açık. Bu, ilk erişimin ardından saldırganın yetki yükseltip ağ içinde ilerlediği klasik zincirin Emperador için de geçerli olduğunu gösteriyor.
Veri sızdırma ve şifreleme. Kurbanların sızıntı sitesinde ilan edilmesi, şifrelemeden önce veri çıkarıldığına işaret ediyor. Ancak her vakada şifreleme yapılıp yapılmadığı ya da bazı vakaların yalnızca veri gaspıyla sınırlı kalıp kalmadığı veriden belirlenemiyor.
Açık profilinin genel tablosu şöyle: Beş açıktan dördü yüksek ya da kritik önemde ve internete açık ya da merkezi yönetim işlevi gören ürünlere ait. Emperador'a karşı en belirleyici savunma, bu katmandaki yama hızı.
Gasp Modeli
Emperador, çifte gasp modeliyle çalışan bir sızıntı sitesi (DLS) işletiyor. Çifte gasp, saldırganın verileri hem şifreleyip hem de çaldığı, fidye ödenmezse çalınan verileri yayımlamakla tehdit ettiği yöntemdir. DLS de kurban adlarının ve sızdırılan verilerin yayımlandığı, genellikle Tor ağı üzerindeki sitelerdir. İzleme verimizde grubun tek bir sızıntı sitesi kayıtlı ve bu site 20 Ekim 2026 itibarıyla erişilebilir durumdaydı. Tek bir ilan kanalına sahip olmak, grubun altyapısını henüz yedekli hâle getirmediğini düşündürüyor. Bu durum, olası bir kolluk müdahalesi ya da altyapı kesintisinde ilanların toptan durabileceği anlamına da geliyor.
Grubun müzakere kaydı ve fidye notu örneği veri setimizde bulunmuyor. Bu nedenle talep edilen tutarlar, ödeme davranışı ya da notun dili hakkında bir değerlendirme yapılamıyor. Kamu kurumlarının ve küçük ölçekli hizmet işletmelerinin kurbanlar arasında yer alması, talebin kurumun ödeme gücüne göre ayarlanan esnek bir yapıda olabileceğini düşündürse de bu görüş doğrulanmış değildir.
Diğer Gruplarla İlişki
Emperador ile aynı kuruluşu ilan eden tek grup Stormous. İki grup ortak olarak bir kuruluşu ilan etmiş, ancak aynı ilanın birebir tekrarlandığı bir kayıt yok. Tek bir ortak kurban, yeniden markalama ya da iş ortağı göçü sonucuna varmak için yeterli değil. Aynı kurumun farklı saldırganlarca ayrı ayrı ele geçirilmesi ya da daha önce sızdırılmış verinin yeniden kullanılması da aynı tabloyu üretebilir.
Hedef profili benzerliği daha geniş bir resim sunuyor:
| Grup | Hedef profili benzerliği | Toplam saldırı |
|---|---|---|
| LockBit 5.0 | %74 | 386 |
| Doommageddon | %70 | 16 |
| The Gentlemen | %69 | 998 |
| Vect | %68 | 25 |
| MedusaLocker | %66 | 103 |
Bu benzerlik teknik bir akrabalığı değil, sektör ve ülke dağılımındaki örtüşmeyi ölçüyor. Listede iki farklı tür grup var. Bir yanda LockBit 5.0 ve The Gentlemen gibi yüzlerce kurban ilan etmiş, iş ortağı ağına dayanan büyük operasyonlar bulunuyor. Diğer yanda Doommageddon ve Vect gibi Emperador ölçeğinde yeni ya da küçük gruplar yer alıyor. Emperador'un büyük RaaS markalarıyla benzer bir hedef profili çizmesi, bu ekosistemde dolaşan iş ortaklarının ve satın alınan erişimlerin tercih ettiği orta ölçekli üretim ve lojistik kurumlarına yöneldiğini gösteriyor. Grubun bu ekosistemden beslendiği değerlendirilmektedir. Ancak elimizdeki veri, belirli bir grubun Emperador adıyla yeniden markalandığını göstermiyor.
Türkiye'deki Kuruluşlar İçin Anlamı ve Korunma Önerileri
Türkiye, iki kurbanla Emperador'un hedef ülkeleri arasında yer alıyor ve Arjantin, Hindistan, İtalya ve İsveç ile aynı düzeyde. Toplam içinde küçük görünen bu sayı, faaliyetin henüz on haftalık olduğu düşünüldüğünde anlam kazanıyor. Grubun yoğunlaştığı üretim ve lojistik, Türkiye'nin ihracata dayalı sanayi yapısının merkezinde yer alıyor. İtalya ve Balkan ülkelerindeki kurbanlar da grubun Türkiye'nin yakın coğrafyasında aktif olduğunu gösteriyor. Aşağıdaki öneriler, grupla ilişkilendirilen açık ve hedef profiline göre önceliklendirilmiştir:
- İnternete açık güvenlik ve VPN cihazlarında yama önceliği: İlişkilendirilen kritik açıkların başında güvenlik ağ geçidi açığı geliyor. Bu nedenle VPN ve güvenlik duvarı güncellemeleri, olağan bakım takvimi beklenmeden uygulanmalıdır.
- Uzaktan erişimde çok faktörlü doğrulama ve uzaktan yönetim araçlarının denetimi: RMM yazılımına yönelik açık, tek bir sunucunun ele geçirilmesinin tüm uç noktalara yayılabileceğini gösteriyor. Kullanılan uzaktan yönetim araçlarının envanteri çıkarılmalı ve gereksiz olanlar internetten erişilemez kılınmalıdır.
- E-posta sunucularının güncel tutulması ve dışa açıklığının sınırlandırılması: Exchange açığı, kurum içinde barındırılan e-posta altyapısını doğrudan hedef hâline getiriyor.
- Geliştirici araçları ve eklentileri için onaylı kaynak politikası: Geliştirici eklentisiyle ilişkili kayıt, tedarik zinciri riskinin yalnızca dış tedarikçilerle sınırlı olmadığını gösteriyor.
- En az yetki ilkesi ve davranış tabanlı uç nokta izleme: Grup için yayımlanmış imza bulunmadığından, yetki yükseltme girişimleri ancak davranış tabanlı izlemeyle zamanında fark edilebilir.
- Ağ bölümlendirmesi: Üretim ve lojistik ağırlıklı hedef profili, ofis ağı ile üretim ve operasyon sistemleri arasındaki ayrımı kritik hâle getiriyor.
- Büyük hacimli dış veri aktarımının izlenmesi: Gasp modeli sızıntı sitesine dayandığı için şifreleme öncesi veri çıkarma aşaması, saldırının durdurulabileceği son fırsatlardan biri.
- Değiştirilemez ve ağdan ayrık yedek: Yedekler, saldırganın ele geçirdiği yönetici hesaplarıyla erişilemeyecek biçimde tutulmalı ve geri dönüş süreleri düzenli olarak test edilmelidir.
Saldırıya uğrayan kuruluşların fidye ödememesi önerilir. Ödeme, verinin yayımlanmayacağını ya da sistemlerin geri geleceğini garanti etmez. Kişisel veri etkilenmişse KVKK kapsamında Kişisel Verileri Koruma Kurulu'na en geç 72 saat içinde bildirim yapılması, olayın USOM'a da bildirilmesi gerekir. Saldırı sonrasında profesyonel olay müdahalesi alınması önerilir; DrDisk Lab etkilenen sistemler için ücretsiz ön analiz sunmaktadır.
Sonuç
Emperador, ilk ilanından sonraki on hafta içinde Latin Amerika'dan Balkanlara uzanan bir kurban listesi oluşturdu ve kamu kurumlarını hedef almaktan kaçınmadığını gösterdi. Grubun teknik profili henüz zayıf. Bu nedenle savunma için en sağlam dayanak, ilişkilendirilen açıkların ortak noktası: internete açık güvenlik cihazları ve uzaktan yönetim altyapısı. Sonraki dönemde iki gösterge izlenmeli. Birincisi, Ekim'deki temponun Eylül zirvesine yeniden ulaşıp ulaşmadığı. İkincisi, grubun tek sızıntı sitesine yeni ilan kanalları ekleyip eklemediği. Her ikisi de Emperador'un kısa ömürlü bir oluşum mu, yoksa kalıcı bir RaaS markası mı olacağını belirleyecek.
